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Informativa privacy ai sensi degli artt. 13 e 14 
del Regolamento EU 679/2016 
Verifica delladempimento dell’obbligo vaccinale e del possesso della certificazione 
verde (Green Pass) 


1. Premessa 
Il presente documento riguarda il trattamento di dati personali necessario per adempiere alle prescrizioni in 
materia di Verifica dell'adempimento dell'obbligo vaccinale e del possesso della certificazione verde (Green 
Pass) dettate dal D.L. 44/2021, dal D.L. 52/2021, così come da ultimo modificati dal D.L. 24/2022, nonché dal 
DPCM 17 dicembre 2021. 


E’ necessario ricordare che: 


- è dato personale qualunque informazione capace di identificare — direttamente oppure indirettamente (cioè anche 
utilizzando ulteriori informazioni) - una persona fisica, il cd. interessato; 

- si parla di trattamento di dati personali in relazione a qualsiasi operazione o insieme di operazioni, compiute con o 
senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la 
registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la 
consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a 
disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione; 

- il Titolare del trattamento è il soggetto (anche pubblico) che utilizza tali dati per proprie finalità individuando i mezzi 
(cioè le modalità di realizzazione, sia da un punto di vista tecnico che organizzativo) con cui effettuare il trattamento. 


Affinché un trattamento di dati sia lecito deve rispettare alcune condizioni, presupposti e finalità previsti e consentiti dalla vigente normativa 
in materia di protezione dei dati personali, i cui riferimenti fondamentali sono attualmente i seguenti: 


- Regolamento generale 2016/679/UE relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati 
personali, nonché alla libera circolazione di tali dati ... (di seguito: Regolamento Generale); 

- D.Lgs. 30 giugno 2003, n. 196 Codice in materia di protezione dei dati personali, recante disposizioni per 
l'adeguamento dell'ordinamento nazionale al regolamento (UE) n. 2016/679 ... (di seguito: Codice). 


Le informazioni (anche: informativa) sul trattamento sono un diritto dell'interessato ed un obbligo per il titolare del trattamento. In breve, 
qualora un titolare deve trattare dati che si riferiscono ad una persona fisica — cioè dati personali — deve preventivamente informare questi 
sugli scopi del trattamento, la relativa base giuridica, le tipologie di dati trattati, i relativi tempi di conservazione, le modalità del trattamento 
ecc., declinando una serie di elementi analiticamente previsti e prescritti dagli artt. 13 (dati personali raccolti presso l'interessato) e 14 
(dati personali non raccolti presso l'interessato) del Regolamento Generale. 


Le presenti informazioni sul trattamento fanno riferimento tanto all'art. 13 del Regolamento Generale che anche all'art. 14, in quanto per 
la verifica del possesso del Green pass, pur se effettuata utilizzando informazioni (riassunte nel QR code) messe a disposizione 
dall'interessato, si accede a dati precedentemente raccolti dal Ministero della Salute; per quanto riguarda la verifica dell'adempimento 
dell'obbligo vaccinale per i dipendenti diversi dagli esercenti le professioni sanitarie, si accede ai medesimi dati attraverso una applicazione 
INPS. 


2. Contesto del trattamento e soggetti interessati 
Ai sensi delle disposizioni richiamate al $ 1, al fine di prevenire la diffusione dell'infezione da SARS-CoV-2, 
al personale delle aziende sanitarie, tanto sanitario che tecnico-amministrativo, è fatto obbligo di adempiere 
all'obbligo vaccinale nonché, ai fini dell'accesso ai luoghi di lavoro, di possedere e di esibire, su richiesta, la 
certificazione verde COVID-19 (Green Pass). 


L'obbligo vaccinale si applica a chi volge, a qualsiasi titolo, attività lavorativa presso l'Azienda, esclusi i soggetti 
che svolgono attività lavorativa con contratti esterni. 


L'obbligo di possesso ed esibizione del Green pass riguarda invece tutti i soggetti (pubblici o privati) che 
svolgano, a qualsiasi titolo, la propria attività lavorativa (come anche di formazione o di volontariato) 
presso l’Azienda. 


I suddetti obblighi non si applicano comunque ai soggetti esenti dalla campagna vaccinale sulla base di 
idonea certificazione medica. 





Azienda SH Sanitario 
Ospedaliero Toscana 


Universitaria 
Careggi Rev.6 








La verifica delladempimento dell’obbligo vaccinale viene effettuata, per gli esercenti le professioni sanitarie, 
dai rispettivi ordini professionali. Relativamente al restante personale, la verifica viene effettuata dal datore di 
lavoro, con le modalità di seguito descritte. 


La verifica del Green pass viene effettuata, tanto al momento dell'accesso al posto di lavoro (sia con modalità 
automatica che manuale, in quest'ultimo caso attraverso l'applicazione denominata VerificaC19, sviluppata 
dal Ministero della Salute per il tramite di SOGEI e installata in un dispositivo mobile;), che, eventualmente, 
successivamente a campione (attraverso la suddetta APP), da parte di soggetti formalmente incaricati 
dell'accertamento e della contestazione delle violazioni degli obblighi. 


La verifica del possesso del Green Pass, dal 1 aprile al 30 aprile p.v., viene effettuata in esclusivo riferimento 
alla tipologia base (vaccinazione, guarigione/tampone); essa non ha infatti, in via generale, funzione di verifica 
di particolari obblighi vaccinali; rappresentano, rispetto a ciò, una parziale eccezione le verifiche previste, a 
decorrere dal 15 febbraio 2022, per gli studenti dei corsi di laurea impegnati nello dei tirocini pratico-valutativi 
finalizzati al conseguimento dell'abilitazione all'esercizio delle professioni sanitarie (art. 4, comma 1 bis, del 
DL 44/2021), i quali, se inadempienti, non possono accedere alle strutture aziendali; in questo caso, infatti, la 
verifica del possesso del Green Pass, essendo in qualche modo correlata all'adempimento dell'obbligo 
vaccinale, dovrà comunque essere effettuata utilizzando il cd. Green Pass Rafforzato 
(vaccinazione/guarigione). 


Riassumendo dunque le tipologie di verifiche del possesso del green pass che in Azienda possono essere 
complessivamente effettuate, si distinguono dunque le seguenti modalità: 


1. peri dipendenti, indipendentemente dall’età (non esiste più la previsione di una verifica diversa per 
quelli che hanno compiuto, al 15 febbraio, i 50 anni o che via via li compiranno entro il 15 giugno 
2022), la verifica dovrà effettuarsi con il Green Pass Base; 

2. peri restanti soggetti obbligati (esemplificando: i dipendenti delle imprese che hanno in appalto i 
servizi di pulizia o quelli di ristorazione, il personale dipendente delle imprese di manutenzione che, 
anche saltuariamente, accede alle infrastrutture, il personale addetto alla manutenzione e al 
rifornimento dei distributori automatici di generi di consumo, quello chiamato anche occasionalmente 
per attività straordinarie, i consulenti e collaboratori, nonché i prestatori e i frequentatori di corsi di 
formazione, gli specializzandi) come pure i corrieri che recapitano posta d’ufficio, indipendentemente 
dall’età, la verifica dovrà effettuarsi con il Green Pass Base; 

3. per gli studenti dei corsi di laurea impegnati nello svolgimento dei tirocini pratico-valutativi finalizzati 
al conseguimento dell'abilitazione all'esercizio delle professioni sanitarie, la verifica dovrà effettuarsi 
con il Green Pass Rafforzato. 


Tali accertamenti e quanto ad essi consegue comportano ovviamente un trattamento di dati personali, circa il 
quale il presente documento di “informazioni sul trattamento” rende appunto disponibili agli interessati — cioè 
alle persone fisiche oggetto della verifica - gli elementi informativi prescritti dalla vigente normativa in materia 
di protezione dei dati personali. 


In generale, le condizioni di liceità dei trattamenti di dati personali, soprattutto — ma non solo — in riferimento ai soggetti pubblici, sono di 
stretta giuridicità, ed i relativi an (il “se”, ad esempio l'eventuale attribuzione di una data finalità ad un determinato soggetto, e quomodo 
(le modalità in cui il trattamento può essere effettuato) sono direttamente determinati dalle disposizioni che le stabiliscono. 


3. Tipologie di dati trattati 
Il Regolamento Generale, dopo aver offerto all’art. 4 1) la nozione di dato personale (vedi il $ 1), specifica poi, che il dato personale può 
ricondursi alle categorie particolari di dati personali di cui all’art. 9 (dati personali che rivelano l'origine razziale o etnica, le opinioni politiche, 
le convinzioni religiose o filosofiche, o l'appartenenza sindacale, dati genetici, dati biometrici, dati relativi alla salute, dati relativi alla vita 
sessuale o all'orientamento sessuale della persona) o ai dati relativi alle condanne penali e ai reati o a connesse misure di sicurezza di 
cui all’art. 10; vi sono poi ovviamente dati che non appartengono a tali categorie, e che si definiscono complessivamente dati comuni. Ne 
segue che possono individuarsi tre categorie di dati personali: 


- le categorie particolari di dati personali 
- i dati relativi alle condanne penali e ai reati o a connesse misure di sicurezza 
- i dati comuni 
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Ai fini del trattamento necessario alle verifica del Green pass, sono trattati i seguenti dati: 


- QR code; 

- dalla lettura del QR code (modalità manuale o modalità automatizzata): cognome, nome, data 
di nascita, nonché esito della verifica; 

- dal documento di identità, in caso in caso di richiesta di identificazione dell’interessato da 
parte del verificatore: i dati anagrafici in esso riportati; 

- dati contenuti nella certificazione attestante l'esenzione dall'obbligo di vaccinazione; 

- dati contenuti nella copia del Green Pass che il dipendente può eventualmente voler 
consegnare ai sensi dell'art. 9 quinquies comma 5 del DL 52/2021; 

- nominativo e matricola (nominativo, codice fiscale ed azienda/ente di appartenenza o 
riferimento per i soggetti esterni) della persona fisica non in possesso della certificazione 
verde o non in grado di esibirla, per gli adempimenti conseguenti. 


Come qualificare, tra le tipologie sopra richiamate, tali dati? Ciò è fondamentale, in quanto un trattamento di dati è lecito in riferimento a 
norme diverse a seconda, oltre che dello scopo del trattamento, appunto delle tipologie di dati in esso ricompresi. 


| dati personali relativi al possesso della certificazione possono senz'altro essere qualificati come dati rientranti 
nelle categorie “particolari” di dati personali, ovvero dati relativi alla salute di cui all’art. 9 del Regolamento 
Generale; ciò in quanto il possesso della certificazione verde rimanda a prestazioni sanitarie (vaccinazione o 
tampone) o ad una patologia sofferta (appunto l'infezione da COVID). 


L'accesso al QR code, se positivo, si risolve dunque in un trattamento di dati afferenti alle categorie particolari, 
ovvero di dati relativi alla salute. 


I dati contenuti nella certificazione attestante l'esenzione dall’obbligo di vaccinazione sono anch'essi 
qualificabili come dati relativi alla salute. 


Per quanto riguarda invece il dato relativo al mancato possesso della certificazione verde, esso potrebbe certo 
ricondursi agli orientamenti di carattere politico o filosofico di cui all'art. 9 del Regolamento Generale: in 
generale, però, tale mancato possesso potrebbe anche essere dovuto al fatto di non aver scaricato o stampato 
il certificato, di non essere in grado di esibirlo per dimenticanza e per problemi tecnici, ecc.; da questo punto 
di vista le relative informazioni sarebbero riconducibili a dati personali che non rientrano tra le categorie 
particolari di dati di cui all'art. 9 (né certo a quelli relativi alle condanne penali e ai reati o a connesse misure 
di sicurezza di cui all'art. 10 del Regolamento Generale stesso): sono perciò qualificabili come dati cd. 
“comuni”. 


L'accesso al QR code, se negativo, o il mancato accesso ad esso per impossibilità di esibirlo, si risolve dunque 
in un trattamento di dati comuni. 


4. Finalità del trattamento 
Il Titolare del trattamento può lecitamente trattare dati personali solo quando il trattamento ha una specifica base giuridica: cioè, in 
riferimento ad un ente pubblico, quando è funzionale ad attività che sono ricomprese tra le proprie finalità istituzionali (0 non sono 


comunque con esse incompatibili) e soddisfa alcune condizioni generali, nel rispetto della vigente normativa. 


Le attività di cui alle presenti informazioni comportano un trattamento di dati che ha diverse finalità lecite (in 
una attività possono coesistere diverse finalità del trattamento); il trattamento è dunque effettuato: 


- per motivi di intesse pubblico nella sanità pubblica ai sensi dell'art. 9 par. 2 lettera i 
del Regolamento Generale (categorie particolari di dati); 

- per adempiere ad un obbligo legale, ai sensi dell'art. 6 paragrafo 1 lettera c del 
Regolamento Generale (dati comuni); 

- per motivi di interesse pubblico rilevante, ai sensi dell'art. 6 paragrafo 1 lettera e (dati 
comuni) e dell’art. 9 par. 2 lettera g del Regolamento Generale (categorie particolari 
di dati). 

- affinché il datore di lavoro possa assolvere agli obblighi in materia di diritto del lavoro, 
ai sensi dell'art. 9 par. 2 lettera b del Regolamento Generale (categorie particolari di 
dati). 
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| trattamenti di dati comuni necessari per adempiere ad un obbligo legale, ai sensi dell'art. 6 paragrafo 1 lettera c)e per motivi di interesse 
pubblico rilevante, ai sensi dell'art. 6 paragrafo 1 lettera e) del Regolamento Generale sono leciti se previsti, ai sensi dell'art. 2-ter, da 
una norma di legge o, nei casi previsti dalla legge, di regolamento, o comunque se se necessari per l'adempimento di un compito svolto 
nel pubblico interesse o per l'esercizio di pubblici poteri. 


| motivi di interesse pubblico rilevante vengono appunto in causa in riferimento ai trattamenti di dati effettuati dagli enti pubblici per le 
proprie finalità istituzionali; essi sono relativi a scopi di carattere in senso lato amministrativo che esauriscono (es. gestione del rapporto 
di lavoro) o supportano (es. attività medica) una attività istituzionale che comporta il trattamento di dati personali. 


| trattamenti di categorie particolari di dati per motivi di interesse pubblico rilevante sono leciti, quando riguardano categorie particolari di 
dati, ai sensi dell'art. 2 sexies del D.Lgs. 196/2003 “qualora siano previsti ... nell'ordinamento interno, da disposizioni di legge o, nei casi 
previsti dalla legge, di regolamento che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse 
pubblico rilevante, nonché' le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato”. 


Quando un ente pubblico tratta dati particolari (ad es. dati relativi alla salute) per le proprie finalità istituzionali, 
occorre verificare se, non solo la finalità in generale, ma la stessa specifica operazione di trattamento che si 
intende effettuare sia appunto puntualmente prevista da una disposizione di legge o, nei casi previsti dalla 
legge, di regolamento: le disposizioni in questione, nel nostro caso, sono, in ultima analisi, quelle richiamate 
al primo periodo del $ 1. 


Il conferimento dei dati, in quanto necessario per le finalità lecite sopra richiamate (che offrono al trattamento 
una adeguata e sufficiente base giuridica), non richiede il consenso dell’interessato. 


5. Operazioni effettuate e modalità del trattamento 
La protezione dei dati personali si informa ad un generale principio di minimizzazione: i dati devono cioè essere trattati nel rispetto dei 
principi di pertinenza, completezza e non eccedenza. Inoltre, devono essere trattati in osservanza dei principi di liceità, correttezza e 
trasparenza, previsti dalla legge, e in modo tale da garantirne la sicurezza e tutelare la massima riservatezza dell'interessato. 


kkk 


Sui dati che vengono trattati per verificare il possesso (o non possesso) della certificazione verde, vengono 
eseguite, indicativamente, le seguenti operazioni di trattamento, tra quelle previste nella definizione richiamata 
in $ 1: accesso, registrazione, uso, consultazione, elaborazione, interconnessione, conservazione, 
comunicazione, cancellazione. 


La verifica delle certificazioni verdi COVID-19 è effettuata secondo due diverse modalità: 


- mediante la lettura del codice a barre bidimensionale (QR code), stampato o presente nello 
smartphone dell'interessato, attraverso l'utilizzo esclusivo da parte di un addetto autorizzato 
dell'applicazione mobile VerificaC19; 

- mediante la lettura telematica, attraverso lettore installato agli ingressi, del codice a barre 
bidimensionale (QR code), stampato o presente nello smartphone dell'interessato. 


Persone fisiche espressamente designate ai sensi dell'art. 2-quaterdecies del Codice (in Azienda denominate 
“preposti al trattamento”) relativamente alla verifica effettuata con l’app mobile sono le seguenti: 


- per quanto riguarda i dipendenti assegnati alle UU.OO. afferenti a: Staff della Direzione aziendale, 
Area Innovazione controllo e qualità, Area sviluppo e processi, Area igiene ed organizzazione 
ospedaliera, Area management attività sanitarie, Area politiche del farmaco, Area Tecnica, Area 
Amministrativa, i relativi responsabili/direttori; 

- per il personale tecnico amministrativo e professionale, operante in altre Strutture (DPS etc..), i 
rispettivi Responsabili di riferimento; 

- relativamente al personale sanitario, dai Responsabili Amministrativi di Dipartimento, dai Responsabili 
Sanitari di Dipartimento, da medici incaricati dalla U.O. Igiene ed organizzazione ospedaliera, dai 
coordinatori dei servizi integrati di Padiglione e da incaricati del Dipartimento delle professioni 
sanitarie; 

- relativamente agli studenti dei corsi di laurea impegnati nello svolgimento dei tirocini pratico- 
valutativi finalizzati al conseguimento dell'abilitazione all'esercizio delle professioni sanitarie, 
direttori e responsabili delle SS.0.0.DD, tali soggetti svolgono il tirocinio; 
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- per il personale dei servizi appaltati, i relativi RUP/RES/DEC. 


La verifica consiste unicamente nell’accertamento dell’autenticità, validità e integrità delle certificazioni verdi 
COVID-19, senza rendere visibili le informazioni che ne hanno determinato l'emissione (secondo le 
disposizioni contenute nell'Allegato B, par. 4 d.P.C.M. 17 giugno 2021 dove sono indicate — come previsto 
dall'art. 9, co. 10 del decreto-legge 22 aprile 2021, n. 52 - le specifiche tecniche per assicurare l'interoperabilità 
tra le certificazioni verdi COVID-19 e la Piattaforma nazionale DGC, nonché tra questa e le analoghe 
piattaforme istituite negli altri Stati membri dell'Unione Europea, tramite il Gateway europeo). 


La verifica, essendo preordinata a consentire un accesso (condizionato al possesso di certi requisiti) e non 
comunque a verificare particolari adempimenti, si svolge ordinariamente in maniera puntuale ed attuale (pur 
se è possibile, in alcuni ambiti, richiedere che il mancato possesso del certificato sia comunicato al datore di 
lavoro non oltre 48 ore prima di un termine prefissato); in particolare, i dati relativi ai termini di validità della 
certificazione (che potrebbero essere utili ad evitare di dover effettuare la verifica per ogni accesso ai luoghi 
di lavoro, ma che indirettamente possono indicare a quale titolo l'interessato possiede la certificazione) non 
possono essere acceduti o registrati. 


Si noti che, ai sensi dell'art. 9 quinquies comma 5 del DL 52/2021 così come integrato dal D.L. 127/2021, “AI 
fine di semplificare e razionalizzare le verifiche ..., i lavoratori possono richiedere di consegnare al proprio 
datore di lavoro copia della propria certificazione verde COVID-19. | lavoratori che consegnano la predetta 
certificazione, per tutta la durata della relativa validità, sono esonerati dai controlli da parte dei rispettivi datori 
di lavoro”; è ovvio che tale possibilità prevede la possibilità di trattare tutti i dati presenti nella certificazione. 


Qualora l'interessato (dipendente dell'azienda o altro soggetto) non sia in possesso della certificazione verde, 
gli deve essere vietato l'accesso al luogo di lavoro o la permanenza in esso. L'operazione di trattamento 
effettuata è appunto quella definita come “uso”: l'evidenza del mancato possesso viene usata, utilizzata per 
vietare l’accesso al luogo di lavoro o la permanenza in esso. 


Relativamente alla verifica manuale nel caso di mancato adempimento degli obblighi di protezione, si danno 
due casi: 


- il soggetto controllato rifiuta la verifica; 
- la verifica effettuata con la app VerificaC19 non è positiva. 


Nel primo caso, viene registrato il nominativo dell’interessato per poter dare evidenzia del suo rifiuto, con le 
conseguenze normativamente previste. 


Nel secondo caso, relativamente alla verifica manuale, si ritiene possibile, oltre che registrare i dati personali 
del dipendente, conservare il relativo screen shot. 


Per quanto riguarda la verifica automatica, attraverso lettore installato agli ingressi, del codice a barre 
bidimensionale (QR code), e le successive operazioni di trattamento (di seguito descritte), svolge la funzione 
di preposto al trattamento il direttore della U.O. Amministrazione del personale, che ha formalmente incaricato 
3 dipendenti afferenti a tale U.O.. 


Il sistema raccoglie le informazioni (cognome e nome/data di nascita) relative a chi ha effettuato la verifica, 
archiviandole in un repository aziendale e segnalando i soggetti per i quali essa ha avuto esito negativo. 


Allo scopo di individuare i dipendenti, pur essendo presenti in servizio, non hanno adempiuto all'obbligo di 
verifica, si procede poi a comparare i dati di chi ha effettuato la timbratura con quelli di chi ha effettuato la 
verifica, così identificando, per sottrazione, i dipendenti inadempienti. A tale scopo, i soggetti incaricati 
accederanno quotidianamente alle risultanze delle verifiche automatizzate relative al giorno precedente, 
raccolte in un repository aziendale. 
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Gli incaricati effettuano dunque, relativamente ai dipendenti, due tipologie di verifica: 
- l'eventuale presenza di Green pass non validi; 
- l'eventuale presenza in servizio di dipendenti che non hanno effettuato la verifica obbligatoria. 


La verifica di un Green pass non valido viene effettuata individuando le registrazioni contrassegnate con 
“invalid” e comunicando i relativi nominativi ai referenti incaricati del controllo, che effettueranno una ulteriore 
verifica con l'app mobile C 19. 


Ai dipendenti per i quali la verifica ha dato esito negativo e ai dipendenti inadempienti sarà richiesta una 
giustificazione e sarà effettuata una ulteriore verifica con l'app mobile. 


Per la verifica della eventuale presenza in servizio di dipendenti che non hanno effettuato l'accertamento 
obbligatorio, i dati presenti nel repository sono incrociati con i dati delle timbrature del personale in servizio 
nella medesima giornata; alcuni tra i dipendenti che, per sottrazione, non risulteranno aver effettuato la verifica, 
saranno convocati, attraverso una e-mail al responsabile di riferimento, presso la U.O. Amministrazione del 
personale per essere sottoposti ad un controllo a campione: verrà loro contestato il mancato adempimento e 
verrà chiesto un eventuale giustificativo (es. esenzione, dimenticanza occasionale ecc.). 


In caso di assenza di valida giustificazione verrà effettuato, con lapp mobile C 19, un controllo sul possesso 
del green pass. 


Nel caso in cui il dipendente interessato risulti privo di Green pass, si procederà all’allontanamento dal lavoro 
ed alle notifiche previste dalla normativa vigente. 


AI cartellino orario del dipendente verrà apposto il codice “assente ingiustificato” fino alla comunicazione, da 
parte dell'interessato all'indirizzo e-mail: verifichegreenpass@aou-careggi.toscana.it, del possesso del green 
pass. 





Nel caso in cui la verifica dia esito positivo (presenza di green pass - verde) il dipendente verrà ammonito circa 
la necessità della verifica giornaliera. 


Nel caso di rifiuto di presentarsi presso la UO Amministrazione del personale verrà apposto il codice “assente 
ingiustificato” per ogni giorno di mancata verifica del green pass. 


Della procedura di contestazione e dei relativi esiti verrà redatto apposito verbale (fac-simile in allegato) firmato 
dal verificatore e dal dipendente, se presente. 


Relativamente alle attività sopra descritte, una comunicazione di dati, in particolare, è prevista in almeno due 
situazioni. 


La sanzione di cui all’art. 4 del D.L. 25 marzo 2020, n. 19 così come convertito con modificazioni dalla L. 22 
maggio 2020, n. 35, ai sensi dell'art. 8 del D.L. 127/2021, è irrogata dal Prefetto, e gli atti relativi alla violazione 
gli devono essere comunicati. 


Inoltre, qualora il dipendente esterno sia stato trovato non in possesso della certificazione verde, di ciò deve 
essere data evidenza al suo datore di lavoro. 


Le operazioni eseguite sono effettuate sia con procedure informatizzate (quindi i dati sono trattati su supporti 
informatici, ad esempio gli applicativi aziendali, in particolare quello per la gestione del personale, cfr. $ 7) che 
con supporti cartacei. 
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Allo scopo di verificare, secondo le modalità previste dall'art. 17 bis del DM 17.12.2021, l'adempimento 
dell'obbligo vaccinale da parte dei dipendenti diversi dagli esercenti le professioni sanitarie (per i quali la 


Azienda SH Sanitario 
Ospedaliero A | Toscana 


Universitaria 
Careggi Rev.6 








verifica è effettuata dai rispettivi ordini professionali) gli incaricati estraggono i CF dei dipendenti interessati 
dal data base del personale e li inseriscono nell’apposita sezione del portale INPS 50+ così da evidenziare e 
segnalare i dipendenti che eventualmente non risultino in regola con l'obbligo vaccinale (spunta rossa); a tali 
dipendenti la U.O. Amministrazione del personale trasmette invito a produrre idonea documentazione secondo 
quanto disposto dall'art. 4 ter comma 3 del DL. 44/2021 conv. L. 76/2021 e ss.mm.ii. 


L’art. 4-ter del D, .L. 44/2021 prevede che il suddetto obbligo, per il personale tecnico amministrativo, da 
adempiersi, per la somministrazione della dose di richiamo, entro i termini di validità della certificazione verde, 
ed i conseguenti controlli — da svolgersi con le sopra descritte modalità — siano prorogati al 31 dicembre 2022 
(analoga estensione è stata prevista dall’art. 4 del D.L. 44/2021, per gli esercenti le professioni sanitarie). 


6. Titolari del trattamento 
Il Ministero della salute opera in qualità di titolare del trattamento dei dati della Piattaforma nazionale-DGC. 


L'Azienda si qualifica a sua volta quale Titolare del trattamento dei dati necessari alla effettuazione delle 
verifiche. 


7. Conservazione dei dati personali 
| dati sono conservati per il tempo previsto dalla vigente normativa; in particolare, relativamente alla situazione 
di assenza ingiustificata viene inserito nel sistema di gestione delle presenze un codice specifico che viene 
conservato, così come i cartellini personali in cui è ricompreso, per 10 anni. 


8. Trasferimento Extra UE dei dati personali 
| dati non saranno oggetto di trattamento in paesi fuori dall Unione Europea. 


9. Esercizio dei diritti 
L'interessato ha diritto, se lo desidera, di: 


- accedere ai dati personali che lo riguardano; 

- chiederne la rettifica, l'integrazione e, ove applicabile, la cancellazione (la cancellazione dei 
dati non è prevista laddove il trattamento sia necessario per l'esecuzione di un compito di 
interesse pubblico: anche in questi casi, è comunque possibile la cancellazione di dati non 
essenziali rispetto agli obblighi di documentazione prescritti); 

- chiedere, ove applicabile, la limitazione del trattamento (cioè la temporanea sottoposizione 
dei dati, in casi particolari tassativamente elencati all’art. 18 del Regolamento Generale, alla 
sola operazione di conservazione, in attesa di verifiche da effettuarsi oppure per assicurare 
particolari pretese dell'interessato). 

- opporsi al trattamento dei dati personali. 


Le istanze relative all'esercizio di tali diritti potranno essere presentate al Responsabile per la protezione dei 
dati personali o al Titolare del trattamento agli indirizzi mail sotto indicati 


Infine, si ritenga che il trattamento dei dati personali avvenga in violazione di quanto previsto dalle vigente 
normative, si può proporre reclamo al Garante, come previsto dall'art. 77 del Regolamento Generale adire le 
opportune sedi giudiziarie (art. 79 del Regolamento Generale). 


10.Dati di contatto 
Titolare del trattamento dei dati è Azienda Ospedaliero-Universitaria Careggi, con sede legale in L.go 
Brambilla 3 50134 Firenze. 
Rappresentante Legale: Direttore Generale pro tempore, tel.0557949501, e-mail segreteriadg@aou- 
careggi.toscana.it aoucareggi@pec.it 
Responsabile per la protezione dei dati personali, tel.0557979067 cell. 3666823917, e-mail: rpd@aou- 
careggi.toscana.it 
Autorità di controllo: Garante per la protezione dei dati personali, www.garanteprivacy.it, e-mail 
garante@gpdp.it, centralino tel. 06696771 


